4-5-2017 Gedruckt am 29-05-2017 aus www.monitor.co.at/index.cfm/storyid/17253

Gastartikel - Gianluca De Lorenzis, FGND Group

Blackout vorprogrammiert?

Die zunehmende Digitalisierung des Energienetzes schafft neue Einfallstore für Cyberattacken. Vorfälle, wie der konzertierte Angriff auf ukrainische Energieversorger im Jahr 2015 zeigen, dass gerade regionale Anbieter häufig nicht ausreichend vor Hackern geschützt sind.

Blackout vorprogrammiert? Wie smart ist es eigentlich, kritische Infrastrukturen wie das Stromnetz anfällig für entfernte Hackerangriffe zu machen? (Bild: CC0 Public domain - pexels.com)

Kurz vor Weihnachten in der westukrainischen Provinz Iwano-Frankiwsk: Eine Viertelemillion Haushalte sind plötzlich von der Stromversorgung abgeschnitten. Privatwohnungen, Unternehmen und öffentliche Einrichtungen bleiben teilweise tagelang ohne Elektrizität. Vorausgegangen war laut US-Sicherheitsbehörden ein gezielter und orchestrierter Hacker-Angriff auf drei regionale Energieversorger. Dass dieser Vorfall kein Einzelfall bleiben könnte, zeigt ein Bericht des US-Energieministeriums aus diesem Jahr, in dem explizit vor Angriffen auf kritische öffentliche Infrastrukturen wie zum Beispiel Stromversorger oder Gaspipelines gewarnt wird. Auch eine Studie des Weltenergierats in Zusammenarbeit mit den Rückversicherern Swiss Re und Marsh & McLennan zählt Cyberangriffe zu den wichtigsten Herausforderungen für die Energiewirtschaft und setzen diese auf eine Stufe mit Naturkatastrophen oder Bränden. 
 

Wie zu den Anfangszeiten des W-LANS

Ein wesentlicher Grund für diese Entwicklung ist die zunehmende Vernetzung sämtlicher Akteure auf dem Strommarkt. In modernen Netzen werden Stromerzeugung, -speicherung, -verteilung und -verbraucher in ein Gesamtsystem integriert und eine Daten-Kommunikation innerhalb dieses Netzwerks ermöglicht. Moderne Energienetze, sogenannte Smart Grids, bestehen deshalb heute aus einer Vielzahl IT-basierter Komponenten, von der klassischen Informationstechnologie, wie PCs und Servern, über Kommunikations- und Netzwerktechnik bis hin zu intelligenten Zählern oder mobilen Anwendungen. Die klare Abgrenzung zwischen Versorgungs- und IT-Netz löst sich dadurch immer weiter auf und es entstehen neue Angriffsfläche für Cyberattacken, insbesondere auf Geräteebene. Dieser radikale Umbruch in der Systemlandschaft wird in den kommenden Jahren noch weiter voranschreiten. Denn durch die Anbindung weiterer Elemente, etwa aus Smart-City- oder Smart-Home-Umgebungen, wächst das Smart-Grid-Ökosystem immer weiter an und schafft neue Einfallstore für Cyberangriffe auf das Energienetz. Die Situation ist vergleichbar mit den Anfangszeiten des WLANs, als Millionen von PCs plötzlich ungeschützt am Netz hingen. Heute sind es Industrieanlagen, wie Umspannwerke, Pipelines oder Biogasanlagen, die, etwa über ungesicherte Industriesteuerungssysteme (ICS), Zugang zum Netz haben.
 
Auch das österreichische Innenministerium hat mittlerweile auf das gestiegene Sicherheitsrisiko reagiert: So sieht das für 2018 geplante Cybersicherheitsgesetz eine umfassende Meldepflicht für Betreiber von kritischen Infrastrukturen bei Hacker-Angriffen vor. Die Sicherheit im Unternehmen erhöht das nicht unmittelbar. Beim Aufsetzen und Betreiben der dafür notwendigen Soft- und Hardware-Lösungen bietet das geplante Gesetz nämlich leider keine konkrete Anleitung oder Unterstützung.
 

Fünf Experten-Tipps zur Absicherung von Smart Grids

Energieversorger und Netzbetreiber sind also in vielen Fällen weitgehend auf sich gestellt. Um dennoch eine wirksame Sicherheitsinfrastruktur aufzubauen, sollten sie bei der Planung ihrer Sicherheitskonzepte fünf zentrale Punkte beachten:
 
1. Zukunftssicher planen
Die Grundlage eines effektiven Sicherheitskonzepts bildet zunächst eine umfassende Situationsanalyse, welche den individuellen Schutzbedarf der unterschiedlichen Geschäftsbereiche sowie potenzielle Schwachstellen in der Netzwerkinfrastruktur identifiziert. Dazu sollten sämtliche Anwendungen, Systeme und deren Verbindungen, die von Angriffen betroffen sein könnten und die Versorgung gefährden, in einem Netzstrukturplan zusammengefasst werden. Wichtig dabei: Ein solcher Plan sollte auch zukünftige Anforderungen berücksichtigen und im Einklang mit der Unternehmensstrategie stehen – etwa im Hinblick auf eine geplante Öffnung des Netzes für Smart-Home-Anwendungen. 
 
2. Szenarios durchspielen
Der ermittelte Schutzbedarf in den einzelnen Bereichen bildet die Basis für eine konkrete Sicherheitsstrategie für das Gesamtunternehmen. Hierbei sollte man sich allerdings nicht nur auf den technologischen Aufbau der Sicherheitsinfrastruktur konzentrieren. Genauso wichtig ist es, Cyberangriffe als Szenario oder Simulation durchzuspielen und darüber festzulegen, welche Prozesse im Rahmen eines Notfall-Maßnahmenplans greifen müssen. Dies beginnt mit dem Aufbau eines funktionierenden Monitoring-Systems, durch das Anomalien im Netz möglichst früh erkannt und entsprechende Schutzmaßnahmen rechtzeitig eingeleitet werden können. Vor allem der enge Austausch mit den Behörden, wie etwa der deutschen Bundesnetzagentur, ist hierbei ein entscheidendes Erfolgskriterium. 
 
3. Netzwerksicherheit nach außen erweitern
Durch die zunehmende Zahl dezentraler Energieerzeugungseinheiten, die an das zentrale Strom- oder Gasnetz angebunden sind, erweitert sich das Handlungsfeld der Schutzmaßnahmen hin zur Geräte-Peripherie. Energieversorgungsunternehmen müssen dieser Entwicklung Rechnung tragen, indem sie die Sicherheit der von ihnen eingesetzten Komponenten erhöhen und die Zugänge zu ihrem Zentralnetz besser kontrollieren. Wie das konkret aussehen kann, zeigen beispielsweise die Empfehlungen des ICS-Cert, einer Einheit des US-Heimatschutzministeriums für Cybersicherheit bei ICS-Systemen. Demnach wird empfohlen Steuerungsnetzwerke von unsicheren Netzen isolieren, vor allem vom Internet. Zudem sollten Betreiber solcher Anlagen alle nicht benötigten Ports schließen und alle nicht benötigten Dienste abschalten. Zudem sollte der Fernzugriff auf die Systeme, wo immer möglich, begrenzt werden. Durch die Einrichtung einer Datendiode (One-way-Gateway) kann verhindert werden, dass beispielsweise Steuerbefehle von einem Netz mit niedrigem Schutzbedarf (z. B. Office-Netz) in ein Netzwerk mit hohem Schutzbedarf (z. B. ICS-Netz) übertragen werden. Auf der anderen Seite kann bei umgekehrter Positionierung der Abfluss von vertraulichen Informationen aus einem Netzwerk mit hohem Schutzbedarf verhindert werden.
 
4. Professionelle Hilfe annehmen
Gerade kleinere Netzbetreiber, wie etwa Stadtwerke oder andere regionale Anbieter, verfügen nicht über das nötige Fachwissen im Bereich IT-Sicherheit, um entsprechende Sicherheitskonzepte tatsächlich umzusetzen und langfristig zu unterhalten. Ein entsprechender Know-how-Transfer kostet viel Zeit, die Unternehmen angesichts der drohenden Gefahr nicht haben. Der Aufbau eines Sicherheitskonzepts ohne fremde Hilfe ist daher etwa so, als würde man versuchen sich selbst das Schwimmen beizubringen, während man bereits im Wasser treibt. Noch bevor Unternehmen teure Investitionen zum Aufbau von Teams und Technologien tätigen, sollten sie daher genau prüfen, welche Elemente in der Sicherheitsinfrastruktur an externe Dienstleister ausgelagert werden können. Ein Beispiel hierfür ist der cloubasierte Notfallwiederherstellungsdienst Azure Site Recovery von Microsoft. Statt des Aufbaus eines zweiten, physischen Datencenters, können Workloads darüber in der Cloud gespiegelt und bei Ausfällen automatische wiederhergestellt werden. Zudem werden sämtliche Daten verlässlich verschlüsselt. Der Aufwand, um einen gleichwertigen Schutz ausschließlich mit eigenen Mitteln zu realisieren wäre extrem hoch. 
 
5. Faktor Mensch berücksichtigen
Neben den technischen Voraussetzungen für den Schutz ihrer Systeme, müssen Unternehmen auch auf Ebene der eigenen Mitarbeiter ansetzen. Denn nach wie vor sind Social-Engineering-Methoden der beliebteste und meist auch der effektivste Weg, um in ein abgesichertes Netzwerk einzudringen. So auch im Fall der ukrainischen Stromnetzbetreiber: Dort setzten die Hacker laut US-Heimatschutzministerium Spear Phishing E-Mails ein, um die Systeme mit einem Malware-Toolkit zu infizieren und sich Zugangsberichtigungen zu den Steuerungseinheiten zu beschaffen. Das Programm war in einem manipulierten Word-Dokument enthalten, das als E-Mail des ukrainischen Parlaments getarnt war. Das Beispiel macht deutlich wie wichtig es ist, auch Mitarbeiter außerhalb der IT-Abteilungen durch regelmäßige Schulungen und verbindliche unternehmensweite Vorgaben für den Umgang mit nicht vertrauenswürdigen Quellen zu sensibilisieren.
 

Fazit

Der flächendeckende Stromausfall in der Ukraine zeigt exemplarisch das Risiko und die fatalen Folgen von Cyberangriffen auf das Energienetz. Um einen ähnlichen Fall in Zukunft zu verhindern, müssen Unternehmen ihre Sicherheitskonzepte sowohl prozessual, als auch technologisch an die Anforderungen moderner, intelligenter Stromnetze anpassen. Hierbei ist auch der Staat gefordert, Unternehmen beim Aufbau einer entsprechenden Sicherheitsinfrastruktur noch stärker zu unterstützen – sei es durch Expertenwissen oder finanzielle Subventionen. 
 
Gianluca De Lorenzis ist Gründer und CEO der FGND Group und arbeitet seit mehr als 20 Jahren als Management Consultant, Projektmanager, Entwickler und Infrastruktur-Spezialist in der IT-Branche.